SNORT 설치 및 운영
설치환경은 다음과 같다.
Glibc 2.1.3
libpcap 0.6.2
SNORT 1.8.2
SNORT설치
본인은 프로그램 자체에 대한 설명을 많이 하지는 않는다.
자신이 원할때 해야 집중력이나 이해력에 정점에 이르는 것이다. - 갑자기 뚱딴지 ..
SNORT는 IDS(Instrusion Detection System)이다.
즉, 기존 방화벽등이 외부의 침입을 막는데 중점을 두었다면(iptables, tcp wrapper...),
이 놈은 침입하려는 것을 탐지하는데 중점을 두었다. 패킷내의 특정 부분이(침임흔적이라고 판단되는)
발견되면 이를 탐지할 수 있다. 이런 특정 부분은 계속 갱신되어야 하므로 룰셋이라는 별도의
파일로 계속 갱신되어 제공되고 있다.
libpcap 설치
snort는 libpcap라이브러리를 사용하므로 설치되어 있지 않다면 설치해 준다.
[root@ns /down]$ wget
http://www.tcpdump.org/daily/libpcap-current.tar.gz
[root@ns /down]# tar xvzf libpcap-current.tar.gz -C /usr/local/src
[root@ns /down]# cd /usr/local/src/libpcap-2001.11.03
[root@ns libpcap-2001.11.03]# ./configure
[root@ns libpcap-2001.11.03]# make
snort 설치
SNORT는
www.snort.org에서 배포한다.
[root@ns /down]# wget
http://www.snort.org/releases/snort-1.8.2.tar.gz
[root@ns /down]# tar xvzf snort-1.8.2.tar.gz -C /usr/local/src
[root@ns /down]# cd /usr/local/src/snort-1.8.2/
[root@ns snort-1.8.2]# ./configure
[root@ns snort-1.8.2]# make
[root@ns snort-1.8.2]# make install
사용
배포tar에 SnortUsersManual.pdf라는 매뉴얼이 들어 있으니 보면 되겠다.
그냥 쉘프롬프트에서 snort라고만 입력하여 실행해보자.
[root@ns snort-1.8.2]# snort
Log directory = /var/log/snort
Initializing Network Interface eth0
using config file ./snort.conf
Initializing Preprocessors!
Initializing Plug-ins!
Initializating Output Plugins!
Parsing Rules file ./snort.conf
+++++++++++++++++++++++++++++++++++++++++++++++++++
Initializing rule chains...
No arguments to frag2 directive, setting defaults to:
Fragment timeout: 60 seconds
Fragment memory cap: 4194304 bytes
Stream4 config:
Stateful inspection: ACTIVE
Session statistics: INACTIVE
Session timeout: 30 seconds
Session memory cap: 8388608 bytes
State alerts: INACTIVE
Scan alerts: ACTIVE
Log Flushed Streams: INACTIVE
No arguments to stream4_reassemble, setting defaults:
Reassemble client: ACTIVE
Reassemble server: INACTIVE
Reassemble ports: 21 23 25 53 80 143 110 111 513
Reassembly alerts: ACTIVE
Back Orifice detection brute force: DISABLED
Using LOCAL time
882 Snort rules read...
882 Option Chains linked into 92 Chain Headers
0 Dynamic rules
+++++++++++++++++++++++++++++++++++++++++++++++++++
Rule application order: ->activation->dynamic->alert->pass->log
--== Initializing Snort ==--
Initializing Network Interface eth0
Decoding Ethernet on interface eth0
--== Initialization Complete ==--
-*> Snort! <*-
Version 1.8.2 (Build 86)
By Martin Roesch (
roesch@sourcefire.com,
www.snort.org)
Foreground로 실행되었으므로 종료하려면 Ctrl+C를 누른다.
===============================================================================
Snort analyzed 1222 out of 1222 packets, dropping 0(0.000%) packets
Breakdown by protocol: Action Stats:
TCP: 484 (39.607%) ALERTS: 33
UDP: 109 (8.920%) LOGGED: 33
ICMP: 0 (0.000%) PASSED: 0
ARP: 375 (30.687%)
IPv6: 0 (0.000%)
IPX: 0 (0.000%)
OTHER: 253 (20.704%)
DISCARD: 0 (0.000%)
===============================================================================
Fragmentation Stats:
Fragmented IP Packets: 0 (0.000%)
Fragment Trackers: 0
Rebuilt IP Packets: 0
Frag elements used: 0
Discarded(incomplete): 0
Discarded(timeout): 0
Frag2 memory faults: 0
===============================================================================
TCP Stream Reassembly Stats:
TCP Packets Used: 484 (39.607%)
Stream Trackers: 41
Stream flushes: 1
Segments used: 1
Stream4 Memory Faults: 0
===============================================================================
Snort received signal 2, exiting
[root@ns snort-1.8.2]#
위에서 보듯이 기본적으로 882의 룰(rule)이 제공된다.
이는 추가적으로 정의될 수 있으므로 룰셋의 개념은 중요하다.
ruleset 설치
snortrules.tar.gz에는 snort설정파일인 snort.conf파일이 존재한다.
[root@ns /down]# wget
http://www.snort.org/downloads/snortrules.tar.gz
[root@ns /down]# tar xvzf snortrules.tar.gz -C /usr/local/bin
[root@ns /down]# cd /usr/local/bin/rules
snort.conf에서 설정
다음값들을 자신의 환경에 맞게 지정하고 나머지는 디폴트로 사용한다.
바이러스(님다,..)로 인해 ISS에 대한 로그가 많으므로 디스크 절약차원에서 아예 빼버렸다.
os가 리눅스이므로 이에 대한 피해는 없을것이다.
var HOME_NET 211.41.23.0/24
preprocessor portscan-ignorehosts: $DNS_SERVERS
#include web-iis.rules
실행
[root@ns src]# snort -D -b -A fast -c /usr/local/bin/rules/snort.conf
-D: 데몬모드
-b: text변화제거
-c: 설정파일 지정
테스트
호스트 B에서 호스트 A로 포트스캔을 해본다.
[호스트B]
[root@A /down]# nmap -O -sS 211.41.23.236
[호스트A]
/var/log/snort/alert
11/04-04:27:16.607990 [**] [1:618:1] INFO - Possible Squid Scan [**] [Classification: Attempted Information
Leak] [Priority: 2] {TCP} 211.41.23.252:37372 -> 211.41.23.236:3128
11/04-04:27:18.580974 [**] [100:1:1] spp_portscan: PORTSCAN DETECTED to port 25 from 211.41.23.252
(STEALTH) [**]
11/04-04:27:18.580209 [**] [111:12:1] spp_stream4: NMAP FINGERPRINT (stateful) detection [**] {TCP}
211.41.23.252:37382 -> 211.41.23.236:25
11/04-04:27:18.580257 [**] [1:628:1] SCAN nmap TCP [**] [Classification: Attempted Information Leak]
[Priority: 2] {TCP} 211.41.23.252:37384 -> 211.41.23.236:1
11/04-04:27:18.580282 [**] [111:10:1] spp_stream4: STEALTH ACTIVITY (nmap XMAS scan) detection [**]
{TCP} 211.41.23.252:37385 -> 211.41.23.236:1
11/04-04:27:21.380211 [**] [111:12:1] spp_stream4: NMAP FINGERPRINT (stateful) detection [**] {TCP}
211.41.23.252:37382 -> 211.41.23.236:25
11/04-04:27:21.380260 [**] [1:628:1] SCAN nmap TCP [**] [Classification: Attempted Information Leak]
[Priority: 2] {TCP} 211.41.23.252:37384 -> 211.41.23.236:1
11/04-04:27:21.380284 [**] [111:10:1] spp_stream4: STEALTH ACTIVITY (nmap XMAS scan) detection [**]
{TCP} 211.41.23.252:37385 -> 211.41.23.236:1
11/04-04:27:24.181210 [**] [100:2:1] spp_portscan: portscan status from 211.41.23.252: 3 connections
across 1 hosts: TCP(3), UDP(0) STEALTH [**]
11/04-04:27:24.180302 [**] [111:12:1] spp_stream4: NMAP FINGERPRINT (stateful) detection [**] {TCP}
211.41.23.252:37382 -> 211.41.23.236:25
11/04-04:27:24.180351 [**] [1:628:1] SCAN nmap TCP [**] [Classification: Attempted Information Leak]
[Priority: 2] {TCP} 211.41.23.252:37384 -> 211.41.23.236:1
11/04-04:27:24.180376 [**] [111:10:1] spp_stream4: STEALTH ACTIVITY (nmap XMAS scan) detection
[**] {TCP} 211.41.23.252:37385 -> 211.41.23.236:1
[root@ns snort]# cat portscan.log
Nov 4 04:27:24 211.41.23.252:37380 -> 211.41.23.236:25 NULL ********
Nov 4 04:27:21 211.41.23.252:37381 -> 211.41.23.236:25 NMAPID **U*P*SF
Nov 4 04:27:21 211.41.23.252:37385 -> 211.41.23.236:1 XMAS **U*P**F
[SNORT SNARF]
snort로그파일을 분석해 웹페이지에서 볼 수 있도록 해준다.
MRTG같이 CRON으로 돌려 본다. 단, mrtg가 보통 5분주기로 돌리지만, 이 놈은 1일주기로 돌리는 것이 좋겠다.
이 툴은 snort사이트에 링크되어 있어 괜찮은(?) 놈이라고 생각했다.
하지만... 자원사용이 너무 많다. 서버사양이 왠만큼 받쳐주지 않으면 절대 돌리지 말라.
예) alert로그크기가 11M정도일 때 실행했으나, 끝날 생각을 안했다.
top으로 파악한 CPU, 메모리사용량은 각각 90%이상, 140M이상으로 서버다운의 위기를 느꼈다.
즉시, 실행을 취소하고, alert를 지우고 portscan.log(크기가 944byte밖에 되지 않는다)만으로 다시 실행해봤으나
5초정도 걸렸던 것 같다. 물론 이 때도 리소스사용량은 시간에 비례해 기하급수적으로 올라갔다.
성능이 너무 실망스러워, 쓰지 않기로 결정했다.
snort로그분석툴을 몇개 찾고 있다. 이중 가장 괜찮은 놈을 찾을면 이글을 업데이트할 것이다.
snortSnarf설치과정
[root@ns SnortSnarf-010821.1]# cd include/
[root@ns include]# cp -R * /usr/lib/perl5/site_perl/5.005/
[root@ns SnortSnarf-010821.1]# cd cgi/
[root@ns cgi]# cp * /usr/local/apache/cgi-bin/
[root@ns SnortSnarf-010821.1]# cp snortsnarf.pl /usr/local/bin
snortsnarf.pl \
-rulesdir /usr/local/bin/rules \
-rulesfile /usr/local/bin/rules/snort.conf \
-d /webhosting/admin/snort /var/log/snort/alert /var/log/snort/portscan.log
참조:
http://www.certcc.or.kr/tools/Snort.html
http://www.snort.org
http://www.silicondefense.com/software/snortsnarf/index.htm
